WordPress tento týden vydal mimořádné bezpečnostní aktualizace 6.9.5 a 7.0.2, které opravují kritickou zranitelnost s označením wp2shell. Chyba umožňuje neautentizovanému útočníkovi spustit škodlivý kód na výchozí instalaci bez jediného pluginu – a to je hlavní důvod, proč byste měli aktualizovat ještě dnes.
Co přesně wp2shell umožňuje
wp2shell je zranitelnost typu pre-auth remote code execution (RCE) přímo v jádru WordPressu. Na rozdíl od většiny bezpečnostních incidentů posledních týdnů, které se týkaly pluginů třetích stran – vzpomeňme na dodavatelský útok na ShapedPlugin nebo zranitelnost v pluginu Kirki – tato chyba postihuje samotné jádro. Ohrožený je tedy každý web bez ohledu na to, jaké pluginy a šablony má nainstalované.
Útočník nepotřebuje žádné přihlašovací údaje ani interakci uživatele. Stačí odeslat speciálně upravený požadavek na výchozí instalaci a získává možnost spouštět vlastní kód přímo na serveru. To z wp2shell dělá jednu z nejzávažnějších kategorií zranitelností vůbec – umožňuje plné převzetí webu, vložení backdooru nebo zneužití serveru k dalším útokům.
Jak WordPress reagoval
Tým jádra WordPressu vydal 17. července 2026 souběžně dvě opravné verze: 6.9.5 pro starší stabilní větev a 7.0.2 pro aktuální řadu 7.0, která do jádra teprve nedávno přinesla nové AI funkce. Podle dostupných informací nebyl do zveřejnění záplaty zaznamenán žádný potvrzený případ zneužití ve volné přírodě. To je dobrá zpráva, ale zároveň přesně ten typ chyby, který se po zveřejnění technických detailů rychle stává terčem masového automatizovaného skenování.
Historie podobných core zranitelností ukazuje jasný vzorec: jakmile je patch venku, bezpečnostní výzkumníci i útočníci během hodin až dnů reverzují opravu, odvodí z ní přesnou podobu chyby a začnou hledat weby, které záplatu ještě nenasadily. Okno mezi vydáním opravy a masovým zneužíváním se tak neustále zkracuje.
Jak zjistit, zda je váš web v ohrožení
Zranitelné jsou všechny instalace na verzi 6.9.4 a starší, respektive 7.0.1 a starší. Verzi zjistíte v administraci v sekci Nástroje → Stav webu, nebo jednoduše přes WP-CLI příkazem wp core version. Pokud provozujete více webů na jednom hostingu, vyplatí se projít je hromadně – ideálně skriptem, který přes WP-CLI zkontroluje verzi na všech instalacích najednou.
Co dělat hned teď
Prvním krokem je okamžitá aktualizace na 6.9.5 nebo 7.0.2. U většiny hostingů stačí kliknout na tlačítko aktualizace v administraci; u spravovaných serverů to zvládne příkaz wp core update. Před aktualizací nezapomeňte na zálohu databáze a souborů – i když jde o bezpečnostní záplatu, je to dobrý zvyk před každým update jádra.
Dlouhodobě doporučujeme zapnout automatické aktualizace jádra alespoň pro minor (bezpečnostní) verze, abyste podobné situace v budoucnu neřešili pod časovým tlakem. Zkontrolujte také logy serveru za posledních několik dní, zda neobsahují podezřelé požadavky na neobvyklé URL adresy nebo opakované pokusy o přístup k neexistujícím souborům – to bývá stopa po skenování zranitelnosti.
Širší souvislosti
Tento incident přichází jen několik týdnů po dokončení vydání WordPressu 7.0 s AI funkcemi přímo v jádru a týden po zveřejnění útoku na ShapedPlugin. Ukazuje to jasný trend: čím větší a komplexnější je jádro CMS, tím větší je i útočná plocha. Pro provozovatele webů to znamená jediné – bezpečnostní aktualizace nejsou volitelná položka na to-do listu, ale prioritní úkol, který by měl probíhat automaticky nebo být proveden do 24 až 48 hodin od vydání.
Proč záplatování jádra nestačí odbýt „někdy příště“
Řada provozovatelů webů odkládá aktualizace kvůli obavám z nekompatibility s pluginy nebo šablonou. U bezpečnostních minor verzí, jako jsou 6.9.5 a 7.0.2, je toto riziko minimální – jde o cílenou opravu, nikoli o velký skok mezi major verzemi, který by měnil chování API. Pokud přesto provozujete nestandardní nebo silně upravený web, otestujte aktualizaci nejprve na stagingu, ale neodkládejte ji o víc než den nebo dva. U kritických RCE zranitelností je rychlost nasazení záplaty důležitější než dokonalá jistota, že nic nerozbije.
Agentury a freelanceři spravující desítky klientských webů by měli tento incident využít i jako impulz k revizi procesu: máte přehled o tom, které weby běží na jaké verzi WordPressu? Máte nastavené hromadné upozornění, když vyjde bezpečnostní záplata? Pokud ne, wp2shell je dobrý důvod si takový proces konečně nastavit.
Závěr
Zranitelnost wp2shell je připomínkou, že bezpečnost WordPressu začíná u něčeho tak jednoduchého, jako je pravidelná aktualizace jádra. Pokud jste tak ještě neučinili, aktualizujte na 6.9.5 nebo 7.0.2 ještě dnes a zvažte nastavení automatických bezpečnostních aktualizací pro všechny své weby. Potřebujete pomoct s bezpečnostním auditem nebo nastavením automatických aktualizací? Ozvěte se nám.
